Privacywaakhond onderzoekt twee organisaties die cookiemuur niet op orde hebben

De Nederlandse Autoriteit Persoonsgegevens onderzoekt nog steeds twee organisaties die 'een misleidende cookiebanner' gebruiken. De AP begon vorig jaar een campagne waarin het 100 bedrijven aansprak, waarvan er nu nog twee zijn waarnaar de privacytoezichthouder echt onderzoek doet. Dat zou kunnen leiden tot een boete en gedwongen aanpassingen.

De Nederlandse privacytoezichthouder schrijft een officieel onderzoek te zijn gestart naar twee bedrijven, maar zegt niet welke bedrijven dat zijn. De aanleiding voor het onderzoek bestaat uit de cookiemuren of -banners die de bedrijven gebruiken. De AP zegt bij die bedrijven te zien dat de cookiebanners niet aan de AVG voldoen.

Het gaat vooral om de manier waarop websitebezoekers trackingcookies kunnen afwijzen. In de privacywet staat dat websitebezoekers cookies net zo makkelijk moeten kunnen weigeren als accepteren. Bij de websites van de bedrijven die de AP nu aanspreekt, is dat niet het geval, zegt de toezichthouder.

Waarschuwingen

De AP begon vorig jaar al informele waarschuwingen te sturen naar die bedrijven. Aanvankelijk ging het om 50 bedrijven, maar de afgelopen maanden heeft de AP naar eigen zeggen '100 organisaties' een brief gestuurd. "Het gaat onder meer om organisaties in de mediasector, de sector zorg en welzijn en de verzekeringsbranche", zegt de toezichthouder.

De organisaties kregen van de AP de kans hun cookiemuur aan te passen. "Het merendeel van de organisaties, zo'n 70 procent, past daarop een verkeerde cookiebanner aan", zegt de AP. In twee gevallen is dat dus daadwerkelijk gebeurd; daar begint de AP een onderzoek naar. Hoe het zit met de andere organisaties, is niet bekend.

Wat betekent het als de AP een onderzoek start?

Een onderzoek van de AP is een officiële eerste stap richting sancties. Dat is zwaarder dan een informele of zelfs formele waarschuwing. Een onderzoek kan leiden tot een boete, maar dat is niet vanzelfsprekend. De AP kan bedrijven ook een last onder dwangsom opleggen, een soort voorwaardelijke boete, of ze alleen verplichten een aanpassing te doen.

Reacties (26)

[Wisher]

Wij waren een van die 50.

En wat een drama was het om alles volgens de regels te doen. Het is niet dat we niet willen, maar het was zo omslachtig uitgelegd. De brief was een document van vele pagina's die wij met AI hebben laten samenvatten omdat we niet snapten wat ze nu eigenlijk vroegen(!).

Hele blauwe regelmensen zonder enig gevoel voor communicatie.

Maar; nar vele heen-en-weer mailtjes die erg stacato werden beantwoord hebben we echt een betere procedure en betere cookie-teksten.

In de basis (even alle documentatie vertaald naar niveau b1):
De AVG, maar dan zonder juridisch geneuzel.

1. Eén klik om te accepteren? Dan ook één klik om te weigeren. Even makkelijk, even zichtbaar.
2. Zeg wat je trackt. Welke gegevens verzamel je, waarom en met wie deel je ze?
3. Maak er geen speurtocht van. Als bezoekers moeten zoeken naar 'Weigeren', doe je iets verkeerd.
4. Geen toestemming? Geen tracking. Plaats pas cookies waarvoor toestemming nodig is nadat je die toestemming hebt. Duh.
5. Noem dingen zoals ze zijn. Geen misleidende knoppen, vage teksten of andere dark patterns.
6. Nee is nee. Blijf bezoekers niet lastigvallen omdat ze cookies hebben geweigerd.
7. Laat mensen zelf kiezen. Statistieken en marketing zijn verschillende doelen. Geef bezoekers die keuze.
8. Van gedachten veranderen mag. Toestemming intrekken moet net zo makkelijk zijn als toestemming geven.
9. Bewijs dat je toestemming hebt. Houd bij waarvoor en wanneer iemand toestemming gaf, zonder onnodig gegevens te bewaren.
10. Test je eigen rommel. Klik op 'Alles weigeren' en controleer of de tracking daadwerkelijk uitstaat.

[Llopigat]

Ja ook de DPG faalt hier enorm. Op punt 1 (alles weigeren is 2 kliks, alles toestaan kan met 1), op punt 6 (elke maand ongeveer komt de popup weer opnieuw). En punt 4, zelfs als ik alles weiger zie ik alsnog trackers van smartocto en scorecardresearch.

[merethan]

Geen toestemming? Geen tracking. Plaats pas cookies waarvoor toestemming nodig is nadat je die toestemming hebt. Duh.

Hoe sla je dat op eigenlijk? Met een cookie?

[ShadLink]

Dat is een functionele cookie (voor functionaliteit van de website) die niet met derden gedeeld wordt. En dus geen toestemming voor nodig

[mjtdevries]

Wil je nou beweren dat je die 10 punten al niet van tevoren wist?
Je hebt het keurig en duidelijk samengevat, maar daar staat niets in wat al niet jaren overduidelijk was en wel vaker zo duidelijk verwoord. (wellicht niet door de AP)

[Anders]

Wat ik me afvraag bij je antwoord, is waarom de brief kennelijk leidend was voor de oplossing. De regels die je noemt zouden geen nieuws mogen zijn bij een bedrijf van een dusdanige omvang dat het tot de 50 geselecteerde partijen behoorde.

[Olaf van der Spek]

IMO moet er gewoon een geautomatiseerde oplossing (voor het afwijzen van cookies) komen, van al die banners / modals wordt je niet blij.

[Gropah]

Vroeger had je de do-not-track (DNT) header, maar die word al een tijd niet meer gerespecteerd omdat sommige browsers hem standaard aan hadden wat volgens sommigen niet zou mogen, en het respecteren was volledig optioneel, dus marketeers zijn het en masse gaan negeren.

[Llopigat]

Ja precies, de EU zou moeten afdwingen dat deze gerespecteerd moet worden (en dan ook geen cookiewall gegeven mag worden).

Dan komt hij zo weer terug in alle browsers.

En standaard aan staan is helemaal geen probleem want tracking hoort opt-in te zijn, niet opt-out. Dus standaard de flag aanzetten is precies wat er moet gebeuren.

[Bor]

De DNT header werd nooit goed gerespecteerd. Het is niet meer dan een vriendelijk verzoek dat technisch gezien gewoon genegeerd kan worden. Dat gebeurde al vanaf de introductie veelvuldig.

[Reactie gewijzigd door Bor op 16 oktober 2026 17:57]

[GameNympho]

Wel het jammere eraan is dat diegene die het wel zo ingesteld hadden, een duidelijk signaal afgaven.

Dat die aanbieders dit op allerlei manieren ontduiken, maakt het er niet minder om of gewild of dat het maar goed is.

[Defspace]

https://istilldontcareaboutcookies.com/

En ik snap ook niet dat browsers geen betere opties bieden. Ik heb mijn browser op whitelist only gezet (qua cookies / local storage / etc), en heb er zelf een frontend voor gevibecode om dit bij te werken, want in Firefox vind ik het niet gebruiksvriendelijk om te beheren.

[Matthijz98]

Het is zeker niet perfect maar dit kan je een deel naar die droom helpen: https://github.com/cavi-au/Consent-O-Matic

[Llopigat]

Die doet niet eens de cookiewall van de DPG die door tig media in Nederland wordt gebruikt, dus niet echt nuttig.

[desalniettemin]

Ik klik meestal op disable Java Script in uBlock. Sommige websites moet je tig instellingen door om te weigeren.

[ViezeVis]

Heeft het mogelijk te maken met de tracking data te maken die Tweakers/DPG Media plaatst?

[GameNympho]

Welke 2 organisaties?

Kunnen gerust met naam worden geplaatst als men al zo ver is, dat men nu verdere stappen wil ondernemen en dat alle normale waarschuwingen, niets hebben voort gebracht.

Het zijn nm de 2 rotte appels in de mand.


edit; typo

[Reactie gewijzigd door GameNympho op 16 oktober 2026 17:57]

[IskaRiot]

Dat is letterlijk hoe AP het gecommuniceerd heeft, dus ik vermoed dat je momenteel enkel kan speculeren welke bedrijven het zijn.

[mjtdevries]

Inderdaad. Het is niet het beleid van de AP om bedrijven aan de schandpaal te nagelen.
Hoewel ik laatst wel iets las dat ze voortaan bij een boete wat eerder gaan publiceren dat een bedrijf een boete heeft gekregen. Dat hielden ze in het verleden vaak ook geheim.

Maar in dit geval gaat het pas om een onderzoek, dus er is nog niet eens bepaald of er een boete komt.

Je zou denken dat je wel erg hardleers moet zijn om na een waarschuwing alsnog je cookiemuur niet aan te passen. Maar het simpele feit dat ze het ook na een waarschuwing niet hebben gedaan betekent waarschijnlijk dat ze denken goede juridische argumenten te hebben voor hun handelen. Ik ben heel benieuwd wat er uit komt. Dat ze maar twee bedrijven onderzoeken terwijl 30% nog niet heeft aangepast betekent denk ik ook dat het geen hamerstukken zijn.

[TijsZonderH]

Hoewel ik laatst wel iets las dat ze voortaan bij een boete wat eerder gaan publiceren dat een bedrijf een boete heeft gekregen. Dat hielden ze in het verleden vaak ook geheim.

Voor zover ik weet hebben ze dat zelden zelf achtergehouden. Ik weet van één boete dat die nooit gepubliceerd is maar wel op rechtspraak.nl was verschenen, maar verder worden de meeste boetes wel gepubliceerd.

Als een boete wordt achtergehouden, is dat doorgaans omdat het bedrijf daar zelf om vraagt, al dan niet tijdelijk zolang er bijvoorbeeld een hoger beroep loopt.

Dat ze de boetes nu sneller gaan publiceren, is een verplichting vanuit Europa, niet omdat ze dat zelf willen.

[CH4OS]

Als ze dat nu zouden zeggen, zouden die partijen snel hun cookiewalls kunnen aanpassen, dus dat komt later pas naar buiten als er sancties uitgedeeld worden.

[kozue]

Als ik zou mogen gokken: marktplaats. Daar heb je 2 knoppen, accepteren en instellingen. Weigeren kost 2 klikken terwijl accepteren maar 1 kost en dat mag voor zover ik weet niet.

[Bonswah]

Skoften zou een onderzoekje waard zijn

[Biofinity]

Wat offtopic maar; als je enkel analytics wil gebruiken zijn er ook mooie alternatieven tov Google waarbij er geen cookie banner nodig is. Stuk gebruiksvriendelijker imo voor je bezoekers en geen data naar Google. Wij zijn over op opensource project Umami.

[TijsZonderH]

Inmiddels alweer 3 jaar oud, maar: review: Privacyvriendelijke alternatieven voor Google Analytics

[trab_78]

Het artikel is een beetje onduidelijk:

De organisaties kregen van de AP de kans hun cookiemuur aan te passen. "Het merendeel van de organisaties, zo'n 70 procent, past daarop een verkeerde cookiebanner aan", zegt de AP. In twee gevallen is dat dus daadwerkelijk gebeurd; daar begint de AP een onderzoek naar.

Ik neem aan dat bedoeld wordt dat de meerderheid dus de cookiemuur aanpast zodat die wel aan de wet voldoet. En dat er dus 2 gevallen onderzocht worden waar de bedrijven geen aanpassing hebben gedaan.

“…past daarop een verkeerde cookiebanner aan.” Kan je ook lezen als “de AP bedoelde dat cookiebanner A moest worden aangepast, maar ze hebben cookiebanner B aangepast.”

“In twee gevallen is dat dus daadwerkelijk gebeurd…” moet volgens mij zijn: “In twee gevallen is dat dus NIET gebeurd.”